ISO 27701 – Klousule 6.2 – Inligtingsekuriteitsbeleide

Sleutelelemente van klousule 6.2: Beleidsraamwerk vir PII-beskerming

Privaatheidsbeskermingsbeleide bied 'n operasionele raamwerk vir organisasies om hulself as 'n verantwoordelike databeheerder op te tree, en om personeel op te voed oor hul daaglikse verpligtinge wat PII betref.

Beleidsdokumentasie moet deur Senior Bestuur onderskryf word en aan personeel gekommunikeer word sodat almal in die organisasie werk aan dieselfde stel PII-verwante rigtinggewende beginsels.

Wat word gedek in ISO 27701 Klousule 6.2

ISO 27701 6.2 bevat twee subklousules wat spesifieke leiding oor privaatheidbeskerming verskaf:

• ISO 27701 6.2.1.1 – Beleide vir inligtingsekuriteit (Verwysings ISO 27002 Beheer 5.1)
• ISO 27701 6.2.1.2 – Hersiening van die beleide vir inligtingsekuriteit (Verwysings ISO 27002 Beheer 5.1)

Soos met ander klousules in die standaard, ISO 27701 klousule 6.2 verwys terug na ISO 27002 wanneer uiteengesit word hoe organisasies PII en PIMS-verwante inligting moet hanteer.

Die bewoording van ISO 27701 6.2 bevat verwysings na ISO 27002:2013, maar hierdie standaard is nou vervang met 'n meer bygewerkte weergawe – ISO 27002:2022. Waar daar na klousules in ISO 27002:2013 verwys word, het ons verwysings na aanhalings met hul opgedateerde weergawes in ISO 27002:2022 gekruis.

Vir hierdie effek word ISO 27701 6.2 gekoppel aan twee standaarde uit ISO 27002:2013 (5.1.1 en 5.1.2) wat in een enkele standaard binne ISO 27002:2022 (5.1) saamgevoeg is.

ISO 27701 Klousule 6.2.1.1 – Beleide vir inligtingsekuriteit

Verwysings ISO 27002 Beheer 5.1

ISO bepleit 'n dubbelfrontbenadering tot organisatoriese privaatheidbeskerming wat die volgende insluit:

• 'n Algemene privaatheidsbeskermingsbeleid.
• Onderwerpspesifieke privaatheidsbeskermingsbeleide.

Beide tipes beleid kan óf in een dokument gekombineer word, óf uitgeskei word soos die organisasie goeddink.

Beleide moet aan alle relevante personeellede (en eksterne personeel, indien nodig) versprei word om deurlopende nakoming van interne en eksterne privaatheidsbeskermingsvereistes te verseker.

Enigeen wat 'n polis ontvang, moet gevra word om, verkieslik skriftelik, te bevestig dat hulle albei verstaan ​​wat van hulle gevra word, en bereid is om daaraan te voldoen.

Beleide moet hersien word wanneer veranderinge aangebring word aan:

1. Besigheidstrategieë.
2. Operasionele praktyke/tegniese omgewings.
3. Enige wette (insluitend GDPR), regulatoriese bepalings of algemene PII-verwante riglyne waaraan die organisasie 'n verantwoordelikheid het om na te kom.
4. Privaatheidsbeskermingsrisikovlakke en die heersende/geprojekteerde bedreigingslandskap.

Onderwerp-spesifieke beleide

'n Onderwerp-spesifieke benadering tot privaatheidbeskerming gee organisasies die vryheid om individuele elemente van hul dataverwerking/inligtingsekuriteitsoperasie op 'n onderwerp-vir-onderwerp basis te hanteer, met 'n duidelike beleid vir elkeen.

Onderwerpspesifieke areas kan IKT-funksies soos toegangsbeheer, netwerksekuriteit, BUDR-beplanning en enkripsieprosesse insluit.

Elke onderwerpspesifieke beleid moet geskep word in ooreenstemming met die organisasie se oorkoepelende privaatheidsbeskermingsbeleid, en opgestel word deur departementele individue (nie noodwendig Senior Bestuur nie) wat die relevante vlak van kundigheid en bevoegdheid in die gebied vir oorweging hou.

Algemene Privaatheidsbeskermingsbeleide

Senior bestuur moet 'n topvlak-privaatheidsbeskermingsbeleid daarstel wat die prosesse en praktiese stappe wat geneem sal word om PII te beskerm, duidelik uiteensit. Organisatoriese privaatheidsbeskermingsbeleide moet inligting bevat van, en relevant bly vir:

• Die algehele besigheidstrategie.
• Enige heersende regulatoriese, wetlike of kontraktuele vereistes.
• Enige duidelike en huidige privaatheidsbeskermingsrisiko's.

Privaatheidsbeskermingsbeleide moet die organisasie se:

1. Operasionele definisie van privaatheidbeskerming.
2. Vermelde privaatheidsbeskermingsdoelwitte.
3. Breër stel bestuursbeginsels met betrekking tot die beskerming van PII.
4. Toewyding om hul PII-verwante doelwitte te bereik, en dit op 'n deurlopende basis te verbeter.
5. Benadering om verantwoordelikheid vir die hele of 'n gedeelte van die privaatheidsbeskermingsbeleid na die relevante roltipes te delegeer.
6. Benadering om uitsonderings op die beleid te hanteer.
7. Planne vir Senior Bestuur om veranderinge te hersien en goed te keur.

Bykomende PII-spesifieke leiding

Organisasies moet beleide en prosedures implementeer wat spesifiek handel oor enige heersende PII-verwante wetgewing, regulatoriese riglyne of kontraktuele ooreenkomste. Waar derdeparty-organisasies betrokke is, moet beleide PII-verantwoordelikhede aan beide kante duidelik uiteensit.

Toepaslike GDPR-artikels

• Artikel 24 – (24)(2)

ISO 27701 Klousule 6.2.1.2 – Hersiening van die beleide vir inligtingsekuriteit

Verwysings ISO 27002 Beheer 5.1

ISO 27701 klousule 6.2.1.2 bevat presies dieselfde riglyne as ISO 27701 klousule 6.2.1.1, sonder enige bykomende PII-verwante vereistes.

Ondersteunende kontroles vanaf ISO 27002 en GDPR

Hoe ISMS.online help

Dit kan moeilik wees om te weet waar om met ISO 27701 te begin, veral as jy nog nooit so iets moes doen nie. Dit is waar ISMS.online inkom!

Ons ISO 27701-oplossings bied raamwerke wat jou organisasie toelaat om voldoening aan ISO 27701 te demonstreer.

Ons inligtingsekuriteitskundiges kan saam met jou werk om te verseker dat jy 'n logiese implementeringsproses ontwikkel wat in lyn is met die aanlyn dokumentasieraamwerk.

Vind meer uit en kry 'n praktiese demonstrasie deur bespreek 'n demo.